Главная мысль
Описывайте дефект через версию, конфигурацию, доступность и последствия. Расследуйте сигналы атаки и принимайте соразмерные меры только в рамках согласованных полномочий.
Уязвимости кода, платформы и конфигурации
Ошибки кода, например переполнение буфера, могут приводить к непредусмотренной обработке данных или кода. SQL-инъекция связана с формированием и обработкой команд базы данных, а межсайтовый скриптинг (XSS) — с небезопасной обработкой вывода страницы в браузере; их нельзя сводить к одному рецепту исправления. Избыточные правила межсетевого экрана, ненужные открытые службы, слабые контроли API и недостаточная сегментация могут увеличивать подверженность. Исследуйте также неподдерживаемые платформы и дефекты конструкции оборудования или встроенного ПО. Вместо общей категории записывайте фактическую версию, конфигурацию и подтверждённое влияние.
Вредоносные программы и загрузка
Скомпрометированная страница может использовать дефект браузера или плагина для запуска кода без отдельной команды загрузки — это путь drive-by. Не каждый визит или загрузка означает заражение. Запустившийся кейлоггер, похититель данных или шифровальщик — вредоносное ПО, а не сама уязвимость. Отдельно определите дефект, разрешение или действие пользователя, позволившие проникнуть. Обновляйте браузер и ОС, применяйте утверждённые контроли скриптов, плагинов и веб-доступа; расследуйте подозрительную активность по записям конечного устройства.
Идентификация, фишинг и социальная инженерия
Фишинг, целевой фишинг, обман через SMS и голосовые звонки могут побуждать раскрыть пароль, открыть вложение или изменить платёж. Это техники атаки. Слабые и повторно используемые пароли, недостаточные контроли аутентификации и избыточные права — отдельные слабые места. Повторные попытки подбора направлены против контроля входа. Многофакторная аутентификация (MFA), менеджеры паролей, проверка по независимому каналу, минимальные права и обучение сообщениям о подозрительных запросах снижают риск; ни одна мера не даёт полной гарантии.
Перемещение по сети и контроль приложений
После первоначального доступа атакующий может пытаться перемещаться по сети, установить бэкдор и вывести данные. Недостаточная видимость между подсетями, неограниченный внешний доступ и широкие права аккаунтов могут облегчить это. Сегментация, ограничение прав приложений и корреляция журналов хоста, сети и аккаунтов помогают расследованию. Неожиданный процесс сам по себе не доказывает вредоносность. Сохраняйте записи, исследуйте контекст и выбирайте соразмерное сдерживание в рамках полномочий плана реагирования.